Op GKE heeft een microservice lees-/schrijftoegang nodig tot een Spanner-database. Hoe moet de applicatie Spanner-referenties verkrijgen om de best practices op het gebied van beveiliging te volgen met minimale codewijzigingen?

De beste praktijk voor het authenticeren van applicaties op GKE bij Google Cloud-services zoals Spanner is Workload Identity. Door Workload Identity in te schakelen, kunnen Kubernetes-serviceaccounts worden gekoppeld aan Google-serviceaccounts. Dit stelt pods in staat om automatisch de identiteit van het Google-serviceaccount aan te nemen, waardoor ze toegang krijgen tot Spanner zonder dat er expliciete referenties in de code of als geheimen hoeven te worden opgeslagen. Dit minimaliseert codewijzigingen en verbetert de beveiliging. Het opslaan van referenties in Kubernetes Secrets is minder veilig omdat geheimen minder goed worden beheerd dan Workload Identity. Routeringsregels en VPC-native clusters zijn relevant voor netwerkconnectiviteit, niet voor authenticatie. Cloud KMS is voor het versleutelen van geheimen, niet voor het direct beheren van applicatiereferenties voor authenticatie.